memOptix

Este notebook Jupyter foi criado para auxiliar profissionais de DFIR na triagem de dumps de memória do Windows.

Observe que este notebook foi criado com base na saída gerada pelo script Python Supermem da CrowdStrike (https://github.com/CrowdStrike/SuperMem). O modo de triagem 2 ou 3 do SuperMem deve ser executado no dump de memória antes de executar este notebook. Uma célula de processamento Volatility separada é fornecida como parte deste notebook, caso você decida executar o Volatility interativamente contra um dump de memória para gerar a saída necessária.

Os seguintes projetos de código aberto são usados neste notebook

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

Autor : J Marasinghe

Pré-requisitos

• Python 3.8 ou superior
• Volatility3
• As seguintes chaves de API são necessárias para dar suporte ao MSTICPY com seus enriquecimentos. GeoIPLite, GreyNoise e OTX

Uso

1. git clone https://github.com/blueteam0ps/memOptix.git
2. Atualize o msticpyconfig.yaml e inclua as chaves de API descritas nos pré-requisitos
3. Abra o memOptix-analyst.ipynb no Jupyter e siga as instruções dentro do notebook
4. Se você não pretende executar o Supermem e quer gerar os CSVs necessários para o notebook, execute a célula a seguir. Se você já tem os CSVs, atualize o caminho conforme as instruções e pule a geração dos CSVs.

Capturas de tela

Crédito da imagem Ícones de memória criados por Darius Dan - Flaticon